Überwachen Sie das Windows-Ereignisprotokoll auf bestimmte Ereignis-IDs und erhalten Sie eine Benachrichtigung, wenn diese zu häufig auftreten. Der Ereignisprotokoll-Monitor wird ausgelöst, wenn ein übereinstimmendes Ereignis innerhalb des gewählten Zeitfensters eine definierte Anzahl von Malen auftritt – nützlich zum Erkennen von Brute-Force-Anmeldeversuchen, Anwendungsabstürzen, Datenträgerfehlern und anderen Mustern, die nur in größerem Volumen relevant sind.

Level überwacht das Windows-Ereignisprotokoll auf abgedeckten Geräten auf alle von Ihnen angegebenen Ereignis-IDs. Wenn die übereinstimmenden Ereignisse Ihre Vorkommnisse Anzahl innerhalb des Dauer Fenster wird eine Benachrichtigung ausgelöst.

Die Kombination aus Vorkommnissen und Dauer macht dies nützlich. Ereignis-ID 4625 (fehlgeschlagene Anmeldung), das einmal auftritt, ist nicht bemerkenswert. Zehnmaliges Auftreten innerhalb einer Minute ist ein Brute-Force-Versuch, der sofortige Maßnahmen erfordert.

Öffnen Sie die Ziel-Überwachungsrichtlinie und fügen Sie dann einen Ereignisprotokoll-Monitor hinzu oder bearbeiten Sie ihn. Der Monitor bearbeiten Bereich öffnet sich auf der rechten Seite.

Setzen Sie Schweregrad basierend darauf, was die Ereignis-IDs im Kontext darstellen:

Geben Sie eine oder mehrere Windows-Ereignis-IDs zur Überwachung ein. Tippen Sie eine ID ein und drücken Sie die Tabulatortaste oder fügen Sie ein Komma hinzu, um sie als Tag hinzuzufügen, und fahren Sie dann mit der Eingabe weiterer fort.

Geben Sie den Namen des zu überwachenden Windows-Ereignisprotokolls ein. Das Feld unterscheidet nicht zwischen Groß- und Kleinschreibung. Häufige Werte:

Quelle ist optional. Geben Sie einen Quellnamen ein, um den Monitor auf Ereignisse einer bestimmten Anwendung oder Komponente innerhalb des Protokolls einzuschränken. Lassen Sie das Feld leer, um die Ereignis-IDs über jede Quelle in diesem Protokoll abzugleichen.

Wählen Sie eine oder mehrere Ereignisprotokoll-Ebenen aus, die abgeglichen werden sollen. Nur Ereignisse der ausgewählten Ebenen werden auf Ihren Vorkommnisschwellenwert angerechnet:

Klicken Sie auf das Dropdown-Menü, um Ebenen hinzuzufügen. Klicken Sie auf × neben einem Ebenen-Chip, um ihn zu entfernen. Klicken Sie auf × auf der rechten Seite des Feldes, um alle Auswahlen zu löschen.

Vorkommnisse legt fest, wie viele übereinstimmende Ereignisse innerhalb des Dauerfensters erkannt werden müssen, bevor eine Benachrichtigung ausgelöst wird. Verwenden Sie die Auf-/Ab-Pfeile, um den Wert festzulegen.

Dauer legt das Zeitfenster für die Zählung der Vorkommnisse fest. Im Einheiten-Dropdown können Sie Minuten oder Stunden; der Schieberegler und die Auf-/Ab-Pfeile legen den Wert innerhalb dieser Einheit fest.

Benachrichtigung automatisch auflösen, wenn sie nicht mehr zutrifft ist für Ereignisprotokoll-Monitore standardmäßig deaktiviert. Ereignisbasierte Benachrichtigungen stellen etwas dar, das bereits passiert ist – sie haben keinen „aktuell verletzten" Zustand, der automatisch gelöscht werden kann. Daher bedeutet das Deaktivieren der automatischen Auflösung, dass Benachrichtigungen bestehen bleiben, bis ein Techniker sie überprüft und auflöst.

Fügen Sie eine oder mehrere Automatisierungen hinzu, die ausgeführt werden sollen, wenn dieser Monitor ausgelöst wird – ein Gerät isolieren, ein Benutzerkonto zurücksetzen, ein Ticket erstellen oder Ihr Team benachrichtigen.

Empfänger werden auf Ebene der Überwachungsrichtlinie im Empfänger Abschnitt.

Klicken Sie auf Monitor aktualisieren um Änderungen zu speichern, oder Monitor hinzufügen beim Hinzufügen eines neuen.